Go-gin-example 第二部分 jwt验证

文章目录

  • 使用 JWT 进行身份校验
    • jwt知识点补充
      • 认识JWT
      • TOKEN是什么
      • jwt的使用场景
      • jwt的组成
        • header
        • payload
        • signature
    • 下载依赖包
    • 编写 jwt 工具包
    • jwt中间件编写
    • 如何获取`token` 编写获取`token`的Api
      • models逻辑编写
      • 路由逻辑编写
      • 修改路由逻辑
    • 验证token
      • 将中间件接入`Gin`
      • 功能验证模块

续接上部分

使用 JWT 进行身份校验

在前面几节中，我们已经基本的完成了 API’s 的编写，但是，还存在一些非常严重的问题，例如，我们现在的API是可以随意调用的，这显然还不安全全，在本文中我们通过 jwt-go （GoDoc）的方式来简单解决这个问题。

jwt知识点补充

jwt官网

认识JWT

JSON Web Token（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑和自包含的方式，用于在各方之间作为JSON对象安全地传输信息。

作为标准，它没有提供技术实现，但是大部分的语言平台都有按照它规定的内容提供了自己的技术实现，所以实际在用的时候，只要根据自己当前项目的技术平台，到官网上选用合适的实现库即可。

TOKEN是什么

Token，其实就是服务端生成的一串加密字符串、以作客户端进行请求的一个“令牌”

在这里插入图片描述

jwt的使用场景

以下是JWT两种使用场景：

授权：这是使用 JWT 的最常见的使用场景。用户登录后，每个后续请求都将包含 JWT，允许用户访问使用该令牌允许的路由、服务和资源。单点登录是当今广泛使用 JWT 的一项功能，因为它的开销很小，并且能够跨不同域轻松使用。

信息交换：JWT是在各方之间安全传输信息的比较便捷的方式。由于 JWT 可以签名（例如，使用公钥/私钥对），因此可以确定发送者是否是在您的授权范围之内。并且，由于签名是使用标头和有效负载计算的，因此还可以验证内容是否未被篡改。

jwt的组成

这是一个JWT的token串：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

其实这一串是经过加密之后的密文字符串，中间通过.来分割。每个.之前的字符串分别表示JWT的三个组成部分：Header、Payload、Signature。

header

Header的主要作用是用来标识,通常是两部分组成：

typ：type 的简写，令牌类型，也就是JWT。

alg：Algorithm 的简写，加密签名算法。一般使用HS256，jwt官网提供了12种的加密算法

然后通过base64编码，将明文编码,防止在传输过程中能直接一眼看出明文并符合多种传输协议

payload

也称为JWT claims

payload用来承载要传递的数据，它的json结构实际上是对JWT要传递的数据的一组声明，这些声明被JWT标准称为claims，它的一个“属性值对”其实就是一个claim，每一个claim的都代表特定的含义和作用

claims有三类：

  • 保留claims：主要包括iss发行者、exp过期时间、sub主题、aud用户等。
keyname说明
iss发送者标识颁发 JWT 的发送主体
sub主题标识 JWT 的主题
aud接收者标识 JWT 所针对的接收者。每个在处理 JWT 的主体都必须使用受众声明中的值来标识自己。如果处理的主体在存在此声明时未将自己标识为声明中的值，则必须拒绝 JWT
exp到期时间标识不得接受 JWT 进行处理的过期时间。该值必须是日期类型，而且是1970-01-01 00：00：00Z 之后的日期秒。
nbfjwt的开始处理的时间标识 JWT 开始接受处理的时间。该值必须是日期。
iatjwt发出的时间标识 JWT 的发出的时间。该值必须是日期。
jtijwt id令牌的区分大小写的唯一标识符，即使在不同的颁发者之间也是如此。

保留claim为jwt标准中规定的claim，验证方式已经定义好

  • 公共claims：定义新创的信息，比如用户信息和其他重要信息。(使用较少)
  • 私有claims：用于发布者和消费者都同意以私有的方式使用的信息。

明文实例：

{
  "sub": "12344321",
  "name": "Mars酱", // 私有claims
  "iat": 1516239022
}

base64加密后：

eyJzdWIiOiIxMjM0NDMyMSIsIm5hbWUiOiJNYXJz6YWxIiwiaWF0IjoxNTE2MjM5MDIyfQ
signature

Signature 部分是对Header和Payload两部分的签名，作用是防止 JWT 被篡改。这个部分的生成规则主要是是公式（伪代码）是：

Header中定义的签名算法alg(
    base64编码(header) + "." + base64编码(payload),
    secret//在服务端加密使用的密钥
)

JWT如果从字面上理解感觉是基于JSON格式用于网络传输的令牌。实际上，JWT是一种紧凑的Claims声明格式，，常见的场景如HTTP授权请求头参数和URI查询参数。JWT会把Claims转换成JSON格式，而这个JSON内容将会应用为JWS结构的有效载荷或者应用为JWE结构的（加密处理后的）原始字符串，通过消息认证码（Message Authentication Code或者简称MAC）和/或者加密操作对Claims进行数字签名或者完整性保护。

下载依赖包

go get -u github.com/dgrijalva/jwt-go

编写 jwt 工具包

我们需要编写一个jwt的工具包，我们在pkg下的util目录新建jwt.go，写入文件内容:

package util

import (
	"time"

	jwt "github.com/dgrijalva/jwt-go"

	"github.com/kingsill/gin-example/pkg/setting"
)

// 加载配置文件中设置的密钥
var jwtSecret = []byte(setting.JwtSecret)

// Claims 定义claims结构体
type Claims struct {
	Username string `json:"username"`
	Password string `json:"password"`
	jwt.StandardClaims
}

func GenerateToken(username, password string) (string, error) {
	nowTime := time.Now()
	expireTime := nowTime.Add(3 * time.Hour)

	//创建 CustomClaims 结构体，用来封装 jwt 信息
	claims := Claims{
		username,
		password,
		jwt.StandardClaims{
			ExpiresAt: expireTime.Unix(),
			Issuer:    "gin-blog",
		},
	}

	//创建 header和payload部分
	tokenClaims := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)

	//得到完整的token字符串，这里为加入签名signature部分
	token, err := tokenClaims.SignedString(jwtSecret)

	return token, err
}

func ParseToken(token string) (*Claims, error) {
	//解码过程
	tokenClaims, err := jwt.ParseWithClaims(token, &Claims{}, func(token *jwt.Token) (interface{}, error) {
		return jwtSecret, nil
	})

	//验证是否时间过期
	if tokenClaims != nil {
		if claims, ok := tokenClaims.Claims.(*Claims); ok && tokenClaims.Valid {
			return claims, nil
		}
	}

	return nil, err
}

在这个工具包，我们涉及到:

  • NewWithClaims(method SigningMethod, claims Claims)，method对应着SigningMethodHMAC struct{}，其包含SigningMethodHS256、SigningMethodHS384、SigningMethodHS512三种crypto.Hash方案
  • func (t *Token) SignedString(key interface{}) 该方法内部生成签名字符串，再用于获取完整、已签名的token
  • func (p *Parser) ParseWithClaims 用于解析鉴权的声明，方法内部主要是具体的解码和校验的过程，最终返回*Token
  • func (m MapClaims) Valid() 验证基于时间的声明exp, iat, nbf，注意如果没有任何声明在令牌中，仍然会被认为是有效的。并且对于时区偏差没有计算方法

jwt中间件编写

中间件相关知识
自定义中间件
有了jwt工具包，接下来我们要编写要用于Gin的中间件，我们在middleware下新建jwt目录，新建jwt.go文件，写入内容：

package jwt

import (
	"net/http"
	"time"

	"github.com/gin-gonic/gin"

	"github.com/kingsill/gin-example/pkg/e"
	"github.com/kingsill/gin-example/pkg/util"
)

// 自定义中间件
func JWT() gin.HandlerFunc {
	//返回.context函数
	return func(c *gin.Context) {
		var code int
		var data interface{}

		//默认是正确状态
		code = e.SUCCESS

		//参数查询url中token关键字
		token := c.Query("token")

		//如果为空，则进行相关提示
		if token == "" {
			code = e.INVALID_PARAMS
		} else { //如果右token，进行token的解析
			claims, err := util.ParseToken(token)
			if err != nil { //如果解析出错，相关提示
				code = e.ERROR_AUTH_CHECK_TOKEN_FAIL
			} else if time.Now().Unix() > claims.ExpiresAt { //如果解析出来token已过期，则也有相关提示
				code = e.ERROR_AUTH_CHECK_TOKEN_TIMEOUT
			}
		}

		//后续处理，如果之前步骤有错误，进行一下操作
		if code != e.SUCCESS {
			c.JSON(http.StatusUnauthorized, gin.H{
				"code": code,
				"msg":  e.GetMsg(code),
				"data": data,
			})

			//放弃后续中间件的执行，即如果有错，后续中间件都不执行
			c.Abort()
			return
		}

		//如果没错，放行	next前为请求中间件，next后为相应中间件
		c.Next()
	}
}

如何获取token 编写获取token的Api

那么我们如何调用它呢，我们还要获取Token呢？

models逻辑编写

在models下新建auth.go文件，写入内容：

package models

// jwt验证的 数据库相关操作

// Auth 用户对应的struct模型
type Auth struct {
	ID       int    `gorm:"primary_key" json:"id"`
	Username string `json:"username"`
	Password string `json:"password"`
}

// CheckAuth 根据用户名和密码查询用户是否存在
func CheckAuth(username, password string) bool {
	var auth Auth
	db.Select("id").Where(Auth{Username: username, Password: password}).First(&auth)
	if auth.ID > 0 {
		return true
	}

	return false
}

}

路由逻辑编写

在routers下的api目录新建auth.go文件，写入内容：

package v1

import (
	"log"
	"net/http"

	"github.com/astaxie/beego/validation"
	"github.com/gin-gonic/gin"

	"github.com/kingsill/gin-example/models"
	"github.com/kingsill/gin-example/pkg/e"
	"github.com/kingsill/gin-example/pkg/util"
)

// 定义我们验证用户所需的信息，同时定义valid验证的预定信息，即一定要有并且最大字符数为50
type auth struct {
	Username string `valid:"Required; MaxSize(50)"`
	Password string `valid:"Required; MaxSize(50)"`
}

func GetAuth(c *gin.Context) {
	//参数查询，？=模式，获取用户名和密码
	username := c.Query("username")
	password := c.Query("password")

	//通过设立结构体验证的valid验证，即所需并且最大为50个字符
	valid := validation.Validation{}
	a := auth{Username: username, Password: password}
	ok, _ := valid.Valid(&a)

	//建立存储信息的map key类型为string，val类型为任意值
	data := make(map[string]interface{})

	//设置默认code为参数错误
	code := e.INVALID_PARAMS

	//通过前序验证，继续通过数据库进行验证
	if ok {
		//通过数据库进行验证
		isExist := models.CheckAuth(username, password)

		//如果通过数据库验证
		if isExist {
			//创建token令牌
			token, err := util.GenerateToken(username, password)

			if err != nil { //如果生成令牌失败
				code = e.ERROR_AUTH_TOKEN
			} else { //生成token成功，进行存储
				data["token"] = token
				code = e.SUCCESS
			}

		} else { //没通过数据库验证
			code = e.ERROR_AUTH
		}

	} else { //没通过前序验证
		for _, err := range valid.Errors {
			log.Println(err.Key, err.Message)
		}
	}

	//json相应
	c.JSON(http.StatusOK, gin.H{
		"code": code,
		"msg":  e.GetMsg(code),
		"data": data,
	})
}

修改路由逻辑

我们打开routers目录下的router.go文件，修改文件内容（新增获取 token 的方法）：
增添一句 r.GET("/auth", api.GetAuth)，放在路由组之外

func InitRouter() *gin.Engine {
r := gin.New()

r.Use(gin.Logger())

r.Use(gin.Recovery())

gin.SetMode(setting.RunMode)

r.GET("/auth", api.GetAuth)//------------------------

apiv1 := r.Group("/api/v1")
{
...
}

return r
}

验证token

获取token的 API 方法就到这里啦，让我们来测试下是否可以正常使用吧！

重启服务后，用GET方式访问http://127.0.0.1:8000/auth?username=test&password=test123456 ，查看返回值是否正确

{
    "code": 200,
    "data": {
        "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InRlc3QiLCJwYXNzd29yZCI6InRlc3QxMjM0NTYiLCJleHAiOjE3MDUzMzk2MzUsImlzcyI6Imdpbi1ibG9nIn0.4zblfic9MdOvrg4TF9Li8nfw3FSBq3rGgKqnJnDFXYY"
    },
    "msg": "ok"
}

我们有了token的 API，也调用成功了

将中间件接入Gin

修改路由分组模块语句，apiv1 := r.Group("/api/v1").Use(jwt.JWT())，将jwt验证加入全局路由

...
    apiv1 := r.Group("/api/v1")
apiv1.Use(jwt.JWT())
{
...
}
...

当前目录结构

go-gin-example/
├── conf
│   └── app.ini
├── main.go
├── middleware
│   └── jwt
│       └── jwt.go
├── models
│   ├── article.go
│   ├── auth.go
│   ├── models.go
│   └── tag.go
├── pkg
│   ├── e
│   │   ├── code.go
│   │   └── msg.go
│   ├── setting
│   │   └── setting.go
│   └── util
│       ├── jwt.go
│       └── pagination.go
├── routers
│   ├── api
│   │   ├── auth.go
│   │   └── v1
│   │       ├── article.go
│   │       └── tag.go
│   └── router.go
├── runtime

到这里，我们的JWT编写就完成啦！

功能验证模块

我们来测试一下，再次访问

  • http://127.0.0.1:8000/api/v1/articles
  • http://127.0.0.1:8000/api/v1/articles?token=23131
    正确的反馈应该是
{
  "code": 400,
  "data": null,
  "msg": "请求参数错误"
}

{
  "code": 20001,
  "data": null,
  "msg": "Token鉴权失败"
}

我们需要访问http://127.0.0.1:8000/auth?username=test&password=test123456 ，得到token

再用包含token的 URL 参数去访问我们的应用 API，

  • 这里的问题即为创建的token还需要自己复制粘贴，不能自动取用等

访问http://127.0.0.1:8000/api/v1/articles?token=eyJhbGci... ，检查接口返回值

{
    "code": 200,
    "data": {
        "lists": [],
        "total": 0
    },
    "msg": "ok"
}

验证正确，文章列表取决于数据库内容

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/324770.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

gitlab 命令执行漏洞（CVE-2022-2992）

gitlab 命令执行漏洞（CVE-2022-2992）

1.漏洞影响版本 GitLab CE/EE 中的一个漏洞影响从 11.10 开始到 15.1.6 之前的所有版本、从 15.2 开始到 15.2.4 之前的所有版本、从 15.3 开始到 15.3.2 之前的所有版本。允许经过身份验证的用户通过从 GitHub API 端点导入实现远程代码执行。 查看 gitlab 版本。(登录后才能…
阅读更多...
【目标检测】YOLOv7算法实现(一)：模型搭建

【目标检测】YOLOv7算法实现(一)：模型搭建

本系列文章记录本人硕士阶段YOLO系列目标检测算法自学及其代码实现的过程。其中算法具体实现借鉴于ultralytics YOLO源码Github，删减了源码中部分内容，满足个人科研需求。   本系列文章在YOLOv5算法实现的基础上，进一步完成YOLOv7算法的实现…
阅读更多...
使用STM32Cube库开发USB虚拟串口设备

使用STM32Cube库开发USB虚拟串口设备

开发基于STM32Cube库的USB虚拟串口设备需要了解USB通信协议、虚拟串口设备的基本原理以及STM32Cube库的使用。在这篇文章中，我们将介绍如何利用STM32Cube库开发一个USB虚拟串口设备，并提供相应的代码示例。 1. USB虚拟串口设备概述 USB虚拟串口设备是指…
阅读更多...
力扣刷题（无重复字符的最长子串)

力扣刷题（无重复字符的最长子串)

3. 无重复字符的最长子串https://leetcode.cn/problems/longest-substring-without-repeating-characters/ 给定一个字符串 s ，请你找出其中不含有重复字符的 最长子串 的长度。 示例 1: 输入: s "abcabcbb" 输出: 3 解释: 因为无重复字符的最长子串是…
阅读更多...
使用vue快速开发一个带弹窗的Chrome插件

使用vue快速开发一个带弹窗的Chrome插件

vue-chrome-extension-quickstart 说在前面 🎈平时我们使用Chrome插件通常都只是用来编写简单的js注入脚本，大家有没有遇到过需要插件在页面上注入一个弹窗呢？比如我们希望可以通过快捷键快速唤起ChatGPT面板或者快速唤起一个翻译面板&#x…
阅读更多...
动态规划：01背包问题(一)

动态规划：01背包问题(一)

本题力扣上没有，是刷的卡码网第46题感兴趣的小伙伴可以去刷一下，是ACM模式。本篇讲解二维dp数组来解决01背包问题，下篇博客将用一维dp数组来解决01背包问题。 题目： 46. 携带研究材料 时间限制：5.000S 空间限制&…
阅读更多...
Spark---RDD持久化

Spark---RDD持久化

文章目录 1.RDD持久化1.1 RDD Cache 缓存1.2 RDD CheckPoint 检查点1.3 缓存和检查点区别 2.RDD分区器2.1 Hash 分区：2.2 Range 分区：2.3 用户自定义分区 1.RDD持久化 在Spark中，持久化是将RDD存储在内存中，以便在多次计算之间重…
阅读更多...
HDFS WebHDFS 读写文件分析及HTTP Chunk Transfer Encoding相关问题探究

HDFS WebHDFS 读写文件分析及HTTP Chunk Transfer Encoding相关问题探究

文章目录 前言需要回答的首要问题DataNode端基于Netty的WebHDFS Service的实现基于重定向的文件写入流程写入一个大文件时WebHDFS和Hadoop Native的块分布差异 基于重定向的数据读取流程尝试读取一个小文件尝试读取一个大文件 读写过程中的Chunk Transfer-Encoding支持写文件使…
阅读更多...
快慢指针-Floyd判圈算法

快慢指针-Floyd判圈算法

对于环形链表是否存在环的做法，普通算法可以通过额外Hash数组来存储链表元素，直到Hash数组中出现重复元素。时间复杂度O(n)，空间复杂度O(n) Floyd判圈算法通过利用快慢指针的移动来实现，时间复杂度O（n）&am…
阅读更多...
Elasticsearch：聊天机器人教程（二）

Elasticsearch：聊天机器人教程（二）

这是继上一篇文章 “Elasticsearch：聊天机器人教程（一）”的续篇。本教程的这一部分讨论聊天机器人实现中最有趣的方面，以帮助你理解它并对其进行自定义。 数据摄入 在此应用程序中，所有示例文档的摄取都是通过 flask …
阅读更多...
搭建知识付费小程序平台：如何避免被坑，选择最佳方案？

搭建知识付费小程序平台：如何避免被坑，选择最佳方案？

随着知识经济的兴起，知识付费已经成为一种趋势。越来越多的人开始将自己的知识和技能进行变现，而知识付费小程序平台则成为了一个重要的渠道。然而，市面上的知识付费小程序平台琳琅满目，其中不乏一些不良平台，让老实人…
阅读更多...
git提交报错：remote: Please remove the file from history and try again.

git提交报错：remote: Please remove the file from history and try again.

1. 报错信息 remote: error: File: fba7046b22fd74b77425aa3e4eae0ea992d44998 500.28 MB, exceeds 100.00 MB. remote: Please remove the file from history and try again. git rev-list --objects --all | grep fba7046b22fd74b77425aa3e4eae0ea992d44998 2. 分析原因 e…
阅读更多...
单例模式实现最好的方式即枚举实现

单例模式实现最好的方式即枚举实现

单例类作为23种设计模式当中最常用的设计模式，实现方式有很多种，比较流行的是DCL(DoubleCheckLock)双重检查的实现，线程安全，又比较好，除了存在序列化的问题之外，还算不错，如果对DCL模式还不熟悉…
阅读更多...
UE5 RPG使用GAS技能系统

UE5 RPG使用GAS技能系统

之前也介绍过GAS的使用： UE 5 GAS Gameplay Ability System UE 5 GAS 在项目中处理AttributeSet相关 UE 5 GAS 在项目中通过数据初始化 基础的讲解这里不再诉说，有兴趣的可以翻我之前的博客。 接下来，在RPG游戏中实现GAS系统的使用。 GAS系统…
阅读更多...
微店商品详情API（micro.item_get）的数据分析和挖掘

微店商品详情API（micro.item_get）的数据分析和挖掘

随着电商行业的迅猛发展，微店作为电商平台的重要组成部分，提供了丰富的API接口供开发者使用。其中，微店商品详情API（micro.item_get）是用于获取商品详情的接口，为数据分析和挖掘提供了大量有价值的数据源。…
阅读更多...
YOLOv8改进 | 融合改进篇 | 轻量化CCFM + SENetv2进行融合改进涨点 (全网独家首发)

YOLOv8改进 | 融合改进篇 | 轻量化CCFM + SENetv2进行融合改进涨点 (全网独家首发)

一、本文介绍 本文给大家带来的改进机制是轻量化的Neck结构CCFM配合SENetv2改进的网络结构进行融合改进，其中CCFM为我本人根据RT-DETR模型一比一总结出来的，文中配其手撕结构图，其中SENetV2为网络结构重构化模块，通过其改进主干从而提取更有效的特征，这两个模块搭配在一起…
阅读更多...
2.1.2 一个关于y=ax+b的故事

2.1.2 一个关于y=ax+b的故事

跳转到根目录：知行合一：投资篇 已完成： 1、投资&技术   1.1.1 投资-编程基础-numpy   1.1.2 投资-编程基础-pandas   1.2 金融数据处理   1.3 金融数据可视化 2、投资方法论   2.1.1 预期年化收益率   2.1.2 一个关于yaxb的…
阅读更多...
Linux/Uinx 什么是栈帧？

Linux/Uinx 什么是栈帧？

什么是栈帧？ 栈帧是计算机内存中的一个独立区域，用于存储程序函数调用过程中的局部变量、参数和返回地址。每当一个函数被调用时，都会在栈上创建一个新的栈帧。函数执行完毕后，对应的栈帧将被销毁。栈帧的概念有助于理解程序函数…
阅读更多...
MS-DETR: Efficient DETR Training with Mixed Supervision论文学习笔记

MS-DETR: Efficient DETR Training with Mixed Supervision论文学习笔记

论文地址：https://arxiv.org/pdf/2401.03989.pdf 代码地址（中稿后开源）：GitHub - Atten4Vis/MS-DETR: The official implementation for "MS-DETR: Efficient DETR Training with Mixed Supervision" 摘要 DETR 通过迭代…
阅读更多...
canvas绘制图片的三种方法（图文示例）

canvas绘制图片的三种方法（图文示例）

查看专栏目录 canvas示例教程100专栏，提供canvas的基础知识，高级动画，相关应用扩展等信息。canvas作为html的一部分，是图像图标地图可视化的一个重要的基础，学好了canvas，在其他的一些应用上将会起到非常重…
阅读更多...
最新文章

Copyright @ 2022~2023